Il-profili VPN IKEv2 fuq Android huma għal kull utent, mhux għal kull apparat

Il-frażi VPN integrata tkopri żewġ affarijiet mhux marbuta fuq Android: implimentazzjoni tal-protokoll li l-pjattaforma tmexxi f'ismek, u liema forma ta settings iddeċieda l-manifattur li jesponi. Dawn mhumiex l-istess oġġett, u l-ebda waħda minnhom ma tiggarantixxi li t-tunnel hu tal-utent li l-apps tiegħu jeħtieġuh. Il-provvediment isir fi utent speċifiku bi pakkett li jsejjaħ speċifiku, u kull ma jiġi wara jiret dak il-kuntest. Aqra l-katina tas-sjieda qabel ma taqra l-iskrin tas-settings.

X'tibni l-pjattaforma għalik

Mill-Android 11 il-pjattaforma tesponi l-provvediment tal-VPN permezz ta VpnManager. App approvata tiddeskrivi profil IKEv2, u l-pjattaforma tmexxi hija stess l-iskambju IPsec u IKE, għalhekk l-app qatt ma tmiss pakketti. Dik hija d-differenza sinifikanti minn app VPN personalizzata, li timplimenta VpnService u tibni t-tunnel fil-proċess tagħha stess.

val profile = Ikev2VpnProfile.Builder(serverAddress, identity)
    .setAuthUsernamePassword(user, secret, rootCa)
    .build()
getSystemService(VpnManager::class.java).provisionVpnProfile(profile)

Is-sejħa hawn fuq hija abbozz tal-forma u mhux blokka li tista tikkopja u tippejstja: il-builder għandu diversi varjanti ta awtentikazzjoni, dawn ivarjaw skont il-livell tal-API, u l-profil iġorr ukoll il-materjal ta fiduċja taċ-ċertifikat tas-server. Dak li hu importanti għall-mistoqsija tas-sjieda huwa iżjed ristrett mis-sintassi.

Żewġ proprjetajiet joħorġu minn dan id-disinn. Il-profil huwa data, għalhekk jista jiġi provdut minn amministratur minflok miktub bl-idejn. U t-tunnel huwa netwerk tal-pjattaforma, għalhekk jidher lill-applikazzjonijiet bħala netwerk b'trasport VPN u mhux bħala socket ta app oħra.

Is-sjieda hija l-utent, imbagħad il-pakkett

Il-multi-utent ta Android hu separazzjoni vera, mhux tikketta. Il-profil tax-xogħol hu utent separat bil-pakketti installati tiegħu, id-data tal-apps tiegħu, il-keystore tiegħu u l-ankri ta fiduċja tiegħu. L-istess prodott installat fiż-żewġ postijiet huwa żewġ istanzi b'identifikaturi tal-utent differenti, anki meta l-ikoni tal-laucher u l-ismijiet tal-prodott huma identiċi.

Il-provvediment jiġi rreġistrat kontra l-pakkett li jsejjaħ f'dak l-utent. Għalhekk app tal-provvediment li taħdem fil-profil personali toħloq tunnel personali, u l-apps tax-xogħol fil-profil tax-xogħol ma jaraw xejn minnu. Il-kuntrarju huwa wkoll minnu, u għalhekk tunnel tal-profil tax-xogħol huwa inviżibbli għall-apps personali mingħajr politika espliċita li tgħid mod ieħor.

Kontrollur tal-politika tal-apparat jista jipprovdi f'isem profil amministrat, u dan jispjega l-entrata li ħadd fl-uffiċċju ma jiftakar ħoloq. Jekk qed tagħmel verifika fuq telefon, dak hu l-proprjetarju probabbli ta profil imdallam, u mhuwiex tiegħek biex tħassru bħala esperiment.

Tliet gradi qabel ma jiċċaqlaq pakkett

L-ewwel grad huwa l-awtorità: il-maniġment irid jippermetti VPN xejn xejn, u xi implimentazzjonijiet jirrestrinġu t-tip kif ukoll l-eżistenza. It-tieni huwa l-identità: iċ-ċertifikat tal-klijent jew il-kredenzjali jridu jkunu disponibbli fl-utent li jippossjedi l-profil, għax ċertifikat importat fil-keystore personali mhuwiex viżibbli għall-profil tax-xogħol.

It-tielet huwa l-kunsens u l-politika. L-utent tipikament japprova l-konnessjoni l-ewwel darba li tintuża, u amministratur jista barra minn hekk jimblukkaha bħala dejjem attiva, b'mod opzjonali b'lockdown sabiex it-traffiku ma jistax joħroġ barra mit-tunnel. Dawk is-settings jiddeċiedu x'jiġri meta t-tunnel ikun waqaf, u dik hija l-parti li l-utenti jinnotaw.

L-ambitu huwa fejn jiltaqgħu t-tlieta. Il-profil jiddetermina l-gateway u l-identità, filwaqt li is-saff tal-politika jiddeċiedi liema applikazzjonijiet jistgħu jużaw it-tunnel u jekk it-traffiku huwiex sfurzat minnu. Żewġ telefoni b'indirizzi tal-gateway identiċi jistgħu għalhekk iġibu ruħhom b'mod ferm differenti.

Għaliex konnessjoni personali ma tkoprix l-apps tax-xogħol

It-traffiku minn app tax-xogħol jiġi ġġenerat fl-utent tax-xogħol, u l-politika tan-netwerk li tapplika hija dik fl-utent. Tunnel stabbilit fil-profil personali ma jġorrhiex, kemm jidher f'saħħtu l-indikatur. Dak il-fatt wieħed jispjega ħafna mir-rapporti fejn utent jaħlef li l-VPN hija konnessa u app waħda speċifika xorta ma tistax tilħaq servizz intern.

Ir-riżoluzzjoni tal-ismijiet ssegwi l-istess konfini. Is-suffissi tad-DNS privat u l-ankri ta fiduċja huma għal kull utent, għalhekk isem ta host intern li jiġi riżolt fil-profil personali jista jonqos fil-profil tax-xogħol anki b'tunnel li jidher ekwivalenti, għax il-politika tar-resolver u l-maħżen tas-CA huma oġġetti differenti.

Ivverifika fuq reġistrazzjoni reali, mhux telefon tal-laboratorju

Fuq l-apparat, identifika l-ewwel is-sid tal-entrata: liema utent, liema pakkett, u jekk il-profil ġiex mill-fornitur tal-pjattaforma jew minn app li timplimenta s-servizz tal-VPN tagħha. Imbagħad ikkonferma li l-identità li l-profil jistenna hija fil-fatt preżenti fil-keystore ta dak l-utent.

Ittestja ċ-ċiklu tal-ħajja, mhux biss il-konnessjoni. Idħol, iftaħ il-maħżen tal-kredenzjali, ħalli l-profil tax-xogħol jieqaf għal filgħaxija, imbagħad erġa ġibu u ċċekkja li t-tunnel jerġa lura mingħajr ma ttektek bl-idejn. Profil tax-xogħol li jintefa wara l-ħinijiet iġorr it-tunnel miegħu, u dak hu mġiba mistennija u mhux ħsara, sakemm l-istat mhux disponibbli mistenni jkun miktub.

Fl-aħħar, ittestja l-app tax-xogħol innifisha kontra endpoint intern magħruf u qabbel mar-riżultat tal-profil personali. It-tnejn jistgħu jkunu differenti; dak li ma jistax ikun differenti huwa l-mudell tas-sjieda. Jekk it-tunnel hu tal-utent ħażin, l-ebda riċerifikazzjoni ma tiswiha.

Toqgħodx tissaħħaq il-kwistjoni billi tniedi attivitajiet tas-settings moħbija biex tikxef menu, u tikkopjax ċwievet privati bejn il-profili biex konnessjoni tidher. Ir-referenza tal-VpnManager tiddokumenta x'jista jipprovdi min isejjaħ; jekk it-triq approvata ma tinkludix il-każ tiegħek, dik hija deċiżjoni tal-amministratur u mhux problema tas-settings.